Traducción de cortesía. En caso de discrepancia, prevalece la versión italiana de este documento.

Acuerdo para el Tratamiento de Datos (DPA)

Versión 0.2 (borrador para revisar con el asesor legal) · Última revisión: 9 novembre 2026

Borrador no firmado, publicado con fines de consulta. La sociedad que presta el servicio tiene número de IVA; el número REA se añadirá cuando se complete la inscripción en el registro mercantil. Hasta entonces, este documento no se puede firmar.

El presente Acuerdo para el Tratamiento de Datos (en adelante, "DPA" o "Acuerdo") se estipula conforme y para los efectos del artículo 28 del Reglamento (UE) 2016/679 (en adelante, "GDPR") y del D.Lgs. 196/2003 modificado por el D.Lgs. 101/2018 (en adelante, "Código de Privacidad"), y regula las relaciones entre las Partes en relación con el tratamiento de datos personales realizado por el Responsable por cuenta del Titular en el ámbito del Servicio Fibonacci.

El presente DPA constituye parte integrante y sustancial del Contrato de Servicio Fibonacci suscrito entre las Partes (en adelante, "Contrato de Servicio") y tendrá una duración coincidente con el mismo.

Art. 1 · Premisas

1.1. El Titular ha suscrito con el Responsable el Contrato de Servicio relativo a la provisión del software Fibonacci, aplicación SaaS de historia clínica ambulatoria para medicina estética proporcionada por el Responsable al Titular en modalidad cloud, accesible en la dirección https://app.fibonaccimedica.it. Los datos propios de la medicina estética se describen en el Anexo D.

1.2. La ejecución del Contrato de Servicio implica el tratamiento, por parte del Responsable por cuenta del Titular, de datos personales y de categorías especiales de datos según el art. 9 GDPR, referidos a los pacientes del Titular.

1.3. Las Partes reconocen que el presente DPA es necesario para regular las obligaciones y derechos recíprocos conforme al art. 28 GDPR y para garantizar la conformidad del tratamiento con la normativa aplicable en materia de protección de datos personales.

1.4. El presente DPA prevalece, en las materias aquí reguladas, sobre cualquier disposición contradictoria contenida en el Contrato de Servicio o en otros acuerdos entre las Partes.

1.5. La duración del presente DPA coincide con la del Contrato de Servicio. Las obligaciones que por su naturaleza están destinadas a sobrevivir a la finalización de la relación (confidencialidad, obligaciones de devolución y eliminación de datos, cooperación con la Autoridad de control) permanecerán vigentes incluso después de la finalización del Contrato de Servicio.

Art. 2 · Identificación de las Partes

2.1. Titular del tratamiento

2.2. Responsable del tratamiento

En lo sucesivo, el Titular y el Responsable se denominarán conjuntamente "Partes" e individualmente "Parte".

Art. 3 · Definiciones

A los efectos del presente DPA, los términos utilizados con mayúscula tienen el significado que se indica a continuación. Para lo no expresamente definido, se aplicarán las definiciones del art. 4 GDPR.

• Titular del tratamiento: el sujeto identificado en el art. 2.1, que determina las finalidades y los medios del tratamiento de los datos personales de los pacientes, conforme al art. 4, n. 7 GDPR.
• Responsable del tratamiento: Fibonacci, como se identifica en el art. 2.2, que trata los datos personales por cuenta del Titular conforme al art. 4, n. 8 GDPR.
• Subresponsable: cualquier otro sujeto designado por el Responsable para realizar actividades específicas de tratamiento por cuenta del Titular, conforme al art. 28, párr. 2 y 4 GDPR.
• Datos personales: cualquier información relativa a una persona física identificada o identificable (el Interesado), tratada en el ámbito del Servicio, conforme al art. 4, n. 1 GDPR.
• Categorías especiales de datos: los datos personales a los que se refiere el art. 9 GDPR, con especial referencia a los datos relativos a la salud tratados en el ámbito del Servicio.
• Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre los Datos personales, conforme al art. 4, n. 2 GDPR.
• Interesado: la persona física a la que se refieren los Datos personales. A los efectos del presente DPA, los Interesados son los pacientes del Titular y, cuando proceda, sus tutores o familiares de referencia.
• Violación de datos personales: la violación de seguridad que provoque, de manera accidental o ilícita, la destrucción, pérdida, modificación, divulgación no autorizada o acceso a los Datos personales, conforme al art. 4, n. 12 GDPR.
• Software: la aplicación SaaS de historia clínica digital Fibonacci, proporcionada por el Responsable al Titular en modalidad cloud.
• Servicio: el conjunto de prestaciones proporcionadas por el Responsable al Titular en ejecución del Contrato de Servicio, que incluye la puesta a disposición del Software, su mantenimiento, asistencia técnica y funcionalidades accesorias.

Art. 4 · Objeto, naturaleza, finalidades y duración del tratamiento

4.1. Objeto. El Responsable trata los Datos personales por cuenta del Titular en la medida estrictamente necesaria para la prestación del Servicio Fibonacci, según lo definido en el Contrato de Servicio.

4.2. Naturaleza del tratamiento. El tratamiento tiene carácter informático y automatizado e incluye, a título ejemplificativo y no exhaustivo: recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, uso, comunicación mediante transmisión, cotejo, eliminación y destrucción de los Datos personales.

4.3. Finalidades del tratamiento. El tratamiento se realiza con el único fin de proporcionar al Titular las funcionalidades del Servicio Fibonacci, y en particular:

• a) almacenamiento y gestión de la historia clínica digital de los pacientes del Titular;
• b) recogida, firma y archivo de los consentimientos informados en formato PDF;
• c) transcripción del dictado del Titular y ordenación de los textos dictados mediante servicios de inteligencia artificial, y asistente en la ficha abierta, en las condiciones del art. 7.6;
• d) archivo cifrado de las fotos clínicas de los pacientes;
• e) registro de las operaciones realizadas en la cuenta con fines de auditoría;
• f) agenda, recordatorios a los pacientes que hayan dado su consentimiento, página pública de la consulta y reserva, anamnesis cumplimentada por el paciente en su teléfono, envío de documentos al paciente por correo electrónico;
• g) funcionalidades accesorias que el Titular puede solicitar activar: área del paciente, videollamada de control a distancia con transcripción opcional, facturas al paciente y registro de cobros, pago en el momento de la reserva, accesos para programas externos del Titular, historia clínica electrónica.

4.4. Duración. El tratamiento tendrá una duración coincidente con la del Contrato de Servicio. Al término del Contrato de Servicio, se aplicarán las disposiciones del art. 12 del presente DPA.

Art. 5 · Categorías de Interesados y tipos de Datos personales

5.1. Categorías de Interesados. Son Interesados en el tratamiento:

• a) los pacientes del Titular, cuyas informaciones clínicas y administrativas se introducen en el Software;
• b) los tutores legales, quienes ejercen la patria potestad o familiares de referencia de los pacientes menores o incapaces, limitadamente a los datos de contacto y de relación.

5.2. Tipos de Datos personales tratados. Son objeto de tratamiento las siguientes categorías de Datos personales referidos a los Interesados:

• a) Datos de identificación: nombre, apellidos, código fiscal, fecha de nacimiento, sexo, lugar de nacimiento.
• b) Datos de contacto: dirección postal, dirección de correo electrónico, número de teléfono.
• c) Datos sanitarios (categoría especial ex art. 9 GDPR): anamnesis, alergias, patologías, medicamentos, exploración física, notas de visita o de sesión, tratamientos realizados con producto y lote, fotos clínicas. El detalle figura en el Anexo D.
• d) Audio del dictado y, si el paciente lo elige, de la videollamada: pistas de audio enviadas al subresponsable Mistral AI SAS para la transcripción, no conservadas por el Responsable; el texto transcrito se guarda en la historia clínica solo si el médico lo guarda.
• e) Consentimientos informados: texto del consentimiento, identidad del firmante, teléfono y resultado del código de firma, versión y huella de la información entregada. El Software ofrece una biblioteca de modelos de consentimiento para medicina estética, que el médico adopta como propios antes de la firma.
• f) Registro de auditoría: registro de las aperturas y modificaciones de los recursos clínicos de la cuenta del Titular, con cadena de huellas.
• g) Datos fiscales y de pago de los pacientes, solo si el Titular activa las facturas al paciente o el pago en el momento de la reserva: código fiscal, prestación, importe, modalidad y fecha del pago, correo electrónico para el recibo.

5.3. El Titular garantiza haber obtenido de los Interesados todo el consentimiento necesario o disponer de otra base jurídica válida para el tratamiento de los Datos personales, incluidos los datos a los que se refiere el art. 9 GDPR, y haber proporcionado a los Interesados la información sobre privacidad conforme a los arts. 13 y 14 GDPR.

Art. 6 · Obligaciones del Responsable

Conforme al art. 28, párr. 3 GDPR, el Responsable se compromete a:

6.1. a) Instrucciones documentadas. Tratar los Datos personales únicamente siguiendo instrucciones documentadas del Titular, incluso en caso de transferencia de Datos personales a un tercer país u organización internacional, salvo que lo exija el derecho de la Unión o del Estado miembro al que esté sujeto el Responsable, en cuyo caso este último informará al Titular sobre dicha obligación legal antes del tratamiento, a menos que el derecho lo prohíba por motivos importantes de interés público. Constituyen instrucciones documentadas del Titular: el Contrato de Servicio, el presente DPA, las configuraciones del Software realizadas por el Titular a través de la interfaz de la aplicación, las comunicaciones escritas dirigidas al soporte técnico del Responsable.

6.2. b) Confidencialidad del personal. Garantizar que las personas autorizadas para el tratamiento de los Datos personales se hayan comprometido a la confidencialidad o tengan una obligación legal adecuada de confidencialidad, y estén formadas en la protección de los Datos personales.

6.3. c) Medidas técnicas y organizativas. Adoptar todas las medidas técnicas y organizativas adecuadas, conforme al art. 32 GDPR, como se detalla en el art. 9 del presente DPA, para garantizar un nivel de seguridad adecuado al riesgo.

6.4. d) Subresponsables. Recurrir a Subresponsables únicamente con la autorización previa del Titular, en los términos del art. 7 del presente DPA, garantizando que se impongan a los Subresponsables las mismas obligaciones de protección de datos que las establecidas en el presente DPA mediante un contrato adecuado u otro acto jurídico.

6.5. e) Asistencia en los derechos de los Interesados. Teniendo en cuenta la naturaleza del tratamiento, asistir al Titular con medidas técnicas y organizativas adecuadas, en la medida de lo posible, para cumplir con la obligación del Titular de responder a las solicitudes de ejercicio de los derechos del Interesado conforme a los arts. 12-23 GDPR (acceso, rectificación, supresión, limitación, portabilidad, oposición). El Software proporciona al Titular funcionalidades específicas para extraer, rectificar y eliminar los Datos de los Interesados.

6.6. f) Asistencia en materia de seguridad, violación de datos, EIPD y consulta previa. Asistir al Titular en el cumplimiento de las obligaciones establecidas en los arts. 32-36 GDPR, teniendo en cuenta la naturaleza del tratamiento y la información disponible para el Responsable.

6.7. g) Devolución o eliminación de los datos. A elección del Titular, devolver o eliminar todos los Datos personales una vez finalizada la prestación de los servicios relacionados con el tratamiento y eliminar las copias existentes, salvo que el derecho de la Unión o del Estado miembro exija la conservación de los datos, según las modalidades establecidas en el art. 12 del presente DPA.

6.8. h) Auditoría e información. Poner a disposición del Titular toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 GDPR y permitir y contribuir a las actividades de revisión, incluidas las inspecciones, realizadas por el Titular o por un tercero designado por este, según las modalidades establecidas en el art. 11 del presente DPA.

6.9. i) Notificación de instrucciones contrarias al GDPR. Informar inmediatamente al Titular si, en su opinión, una instrucción impartida por el Titular viola el GDPR, el Código de Privacidad u otras disposiciones de la Unión o del Estado miembro relativas a la protección de datos.

6.10. j) Registro de tratamientos. Llevar un registro de todas las categorías de actividades de tratamiento realizadas por cuenta del Titular, conforme al art. 30, párr. 2 GDPR, poniéndolo a disposición del Titular y de la Autoridad de control a petición de estos.

6.11. k) Cooperación con la Autoridad de control. Cooperar, a petición, con la Autoridad de control en el desempeño de sus funciones.

6.12. l) Designación del DPO. Designar un Delegado de protección de datos cuando sea obligatorio conforme al art. 37 GDPR y comunicar al Titular los datos de contacto correspondientes. Los datos de contacto del DPO del Responsable figuran en el Anexo C del presente DPA. El Responsable ha decidido designar un DPO externo; hasta la designación formal, el contacto es el indicado en el Anexo C.

Art. 7 · Subresponsables autorizados

7.1. El Titular concede al Responsable, conforme al art. 28, párr. 2 GDPR, autorización general para el empleo de los Subresponsables indicados en el punto 7.2 para la prestación del Servicio, con la obligación para el Responsable de informar al Titular de las modificaciones en la lista según las modalidades del punto 7.3.

7.2. Lista de Subresponsables autorizados a la fecha de suscripción. La lista nominativa, con sede, actividad, datos tratados, lugar y estado del contrato de cada uno, es el Anexo B. En resumen:

• a) Aruba S.p.A. (Italia): máquina virtual que aloja el Software, las bases de datos, las fotos y las copias de seguridad. Trata todos los datos. No hay transferencia fuera de la UE.
• b) Mistral AI SAS (París, Francia): suministra los modelos de inteligencia artificial (transcripción, ordenación de los textos dictados, asistente) a través de su punto de acceso europeo (api.eu.mistral.ai). Recibe texto clínico sin nombre ni código fiscal y el audio del dictado. Se aplica el art. 7.6.
• c) Hostinger International Ltd (Chipre), con su proveedor de reenvío de correo saliente: correo electrónico del dominio y DNS. Recibe direcciones de correo electrónico, texto de los mensajes y, cuando el Titular envía un documento al paciente, el documento adjunto.
• d) Stripe (Irlanda y Estados Unidos), solo si el Titular activa el pago en el momento de la reserva: correo electrónico del paciente, importe y descripción de la cita, en la cuenta Stripe del Titular.

Los proveedores de SMS (para el código de firma y los recordatorios) y el archivo de las copias externas no están activos en la fecha de esta versión: se añadirán con el procedimiento del punto 7.3 antes de ser utilizados.

7.3. Modificaciones en la lista. El Responsable informará al Titular de cualquier modificación en la lista de Subresponsables, tanto en caso de adición como de sustitución, con preaviso de al menos 30 días respecto a la fecha de eficacia de la modificación. La información se proporcionará mediante la publicación de la ficha actualizada en la dirección indicada en el Anexo B y mediante comunicación por correo electrónico a la dirección del Titular indicada en el art. 2.1.

7.4. Derecho de objeción. Dentro del plazo de preaviso de 30 días, el Titular podrá oponerse por escrito y con motivación fundada al nombramiento de un nuevo Subresponsable. En tal caso, las Partes colaborarán de buena fe para identificar soluciones alternativas. En ausencia de acuerdo, cada Parte tendrá derecho a rescindir el Contrato de Servicio con un preaviso de 30 días, sin penalizaciones para el Titular y con la devolución proporcional de las cantidades pagadas por adelantado por el período no disfrutado.

7.5. Obligaciones contractuales hacia los Subresponsables. El Responsable impondrá a cada Subresponsable, mediante contrato escrito y antes de recurrir a ellos para datos de pacientes reales, sustancialmente las mismas obligaciones de protección de datos del presente DPA (art. 28, párr. 4 GDPR). El estado de cada contrato se indica en el Anexo B. El Responsable responderá frente al Titular por el incumplimiento de los Subresponsables de las obligaciones en materia de protección de datos.

7.6. Funciones de inteligencia artificial y categorías especiales de datos. El contrato con Mistral AI SAS rige con la aceptación de sus términos comerciales, que incorporan su acuerdo de tratamiento de datos: no se ha solicitado ni emitido una firma separada. A la fecha de esta versión Mistral AI SAS aún no ha confirmado por escrito la conservación cero de los contenidos ni la validez de su acuerdo para la organización del Responsable. Hasta que el Responsable no haya recibido esas confirmaciones y las haya comunicado al Titular, el Titular no utilizará el dictado, la ordenación de los textos dictados, el asistente y la transcripción de la videollamada para pacientes reales, y el Responsable desactivará el asistente para la cuenta del Titular a petición de este.

Art. 8 · Transferencias fuera de la UE/EEE

8.1. Los datos sanitarios de los pacientes se conservan en Italia (art. 7.2, letra a) y el Software impide el envío de textos clínicos a proveedores de inteligencia artificial distintos del punto de acceso europeo de Mistral AI SAS (api.eu.mistral.ai), con sede en Francia. El entrenamiento de modelos con los datos enviados está desactivado en la configuración de la organización del Responsable.

8.2. Entre el navegador del Titular y el Software no hay ningún intermediario de red: ni redes de distribución de contenidos, proxy o firewalls gestionados por terceros; la conexión cifrada termina en la máquina indicada en el art. 7.2, letra a.

8.3. Pueden implicar una transferencia a Estados Unidos, y por ello se indican con su garantía en el Anexo B: Stripe, solo con el pago en el momento de la reserva; los servicios de notificación de los navegadores, que reciben una notificación sin contenido; la búsqueda bibliográfica del médico, que envía a un servicio público estadounidense solo el texto de la búsqueda (el Titular no escribe datos de pacientes). La ubicación de los servidores del proveedor de reenvío de correo está en proceso de verificación y se indica en el Anexo B.

8.4. En caso de que en el futuro el Responsable recurra a otros Subresponsables con sede fuera de la UE/EEE, se aplicarán las disposiciones del art. 7 del presente DPA y se adoptarán los mecanismos de transferencia previstos en el Capítulo V del GDPR.

Art. 9 · Medidas técnicas y organizativas (art. 32 GDPR)

El Responsable adopta y mantiene durante toda la duración del DPA las siguientes medidas técnicas y organizativas, adaptadas al riesgo del tratamiento de categorías especiales de datos ex art. 9 GDPR.

9.1. Cifrado.

• a) Fotos clínicas cifradas en el navegador con AES-256-GCM antes de la carga; la clave de cada foto está protegida por una clave por consulta custodiada por el servicio de firma, separado de la aplicación principal.
• b) Copias de seguridad cifradas antes de ser escritas.
• c) Tráfico cifrado con TLS.
• d) ⚠️ La base de datos no está cifrada en reposo a nivel de disco en la fecha de esta versión: está protegida por el acceso a la máquina y por la separación por consulta.

9.2. Control de accesos.

• a) Autenticación obligatoria para todos los usuarios del Software.
• b) Autenticación de dos factores (TOTP) requerida para el titular de la consulta en el primer acceso y disponible para todos los usuarios.
• c) Separación de los datos por consulta: un Titular no tiene visibilidad sobre los pacientes de otro Titular.
• d) Roles y permisos dentro de la consulta del Titular.

9.3. Integridad.

• a) Registro de aperturas y modificaciones de los recursos clínicos, con cadena de huellas que hace visible cualquier alteración.
• b) Plazo de conservación del registro: por definir, se fijará antes de la suscripción.
• c) El Titular consulta el registro desde la aplicación.

9.4. Disponibilidad.

• a) Copia de seguridad nocturna de las bases de datos y los archivos.
• b) Conservación de las copias durante 30 días en rotación.
• c) Procedimiento de restauración probado.
• d) ⚠️ En la fecha de esta versión, las copias residen en la misma máquina; la copia externa en un proveedor diferente está prevista antes del primer dato real y se indicará en el Anexo B.

9.5. Desarrollo seguro.

• a) Análisis del código y de las dependencias en cada modificación, antes del lanzamiento.
• b) Verificaciones de seguridad periódicas sobre el Software y corrección de las observaciones.

9.6. Minimización hacia los proveedores de inteligencia artificial. El texto enviado carece de nombre y código fiscal del paciente; el asistente recibe un identificador opaco; el audio no es conservado por el Responsable.

9.7. Confidencialidad. Las personas autorizadas por el Responsable están sujetas a confidencialidad e instruidas sobre el tratamiento de datos sanitarios; los administradores de sistema son designados por escrito.

9.8. Continuidad operativa. Los objetivos de recuperación (RTO y RPO) se indican en el Anexo A y se convierten en compromisos contractuales solo después de la activación de la copia externa.

9.9. La descripción técnica detallada de las medidas de seguridad está disponible y se actualiza constantemente en la dirección indicada en el Anexo A.

Art. 10 · Violación de datos personales (data breach)

10.1. Obligación de notificación del Responsable al Titular. El Responsable notificará al Titular cualquier Violación de datos personales de la que tenga conocimiento, en un plazo de 24 horas desde su descubrimiento, mediante comunicación escrita a la dirección de correo electrónico del Titular indicada en el art. 2.1, que contendrá:

• a) descripción de la naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de Interesados afectados, así como las categorías y el número aproximado de registros de Datos personales implicados;
• b) nombre y datos de contacto del DPO o de otro punto de contacto para obtener información;
• c) descripción de las consecuencias probables de la violación;
• d) descripción de las medidas adoptadas o que se propone adoptar para remediar la violación y mitigar sus posibles efectos negativos.

10.2. Actualizaciones. Si no es posible proporcionar simultáneamente toda la información indicada en el punto 10.1, el Responsable transmitirá al Titular información parcial inicial e integrará posteriormente con actualizaciones oportunas tan pronto como la información esté disponible.

10.3. Obligaciones residuales del Titular. Corresponde al Titular la obligación de notificar la violación a la Autoridad de control competente en un plazo de 72 horas conforme al art. 33 GDPR y de comunicarla a los Interesados conforme al art. 34 GDPR, cuando se den los supuestos correspondientes.

10.4. Cooperación. El Responsable cooperará activamente con el Titular en la gestión de la violación, proporcionando la información y la asistencia técnica y organizativa necesarias para cumplir con las obligaciones mencionadas en los puntos anteriores.

Art. 11 · Auditorías e inspecciones

11.1. El Titular tiene derecho a solicitar al Responsable información útil para demostrar el cumplimiento de las obligaciones previstas en el art. 28 GDPR y en el presente DPA, así como a realizar auditorías de conformidad.

11.2. La auditoría podrá realizarse no más de una vez al año, salvo en casos de urgencia motivada (por ejemplo, Violación grave de datos personales u orden de la Autoridad de control), con preaviso escrito de al menos 30 días.

11.3. La auditoría podrá ser realizada directamente por el Titular o por un auditor externo independiente, aceptado por ambas Partes y sujeto a obligaciones de confidencialidad equivalentes a las del presente DPA.

11.4. El Responsable podrá cumplir con la obligación de auditoría mediante la presentación de una certificación de seguridad en vigor aceptada por el Titular (por ejemplo, ISO/IEC 27001, SOC 2 Tipo II o equivalente), junto con la documentación resumida de conformidad.

11.5. Los costes de la auditoría correrán a cargo del Titular, salvo que de la auditoría se desprendan violaciones significativas del presente DPA o del GDPR por parte del Responsable, en cuyo caso los costes correrán a cargo del Responsable.

11.6. La auditoría no podrá implicar acceso a datos de otros clientes del Responsable, a secretos industriales, a código fuente propietario o a información cuya divulgación comprometa la seguridad del Servicio para otros clientes.

Art. 12 · Finalización del tratamiento

12.1. Devolución de los datos. Al finalizar el Contrato de Servicio, a petición escrita del Titular formulada en un plazo de 30 días desde la fecha de finalización, el Responsable devolverá al Titular todos los Datos personales tratados por su cuenta en formato ZIP estructurado según el estándar FHIR R4.

12.2. Eliminación de los datos productivos. Transcurridos 30 días desde la finalización del Contrato de Servicio, o, si el Titular no ha solicitado la devolución, transcurridos 90 días desde la finalización, el Responsable procederá a la eliminación de todos los Datos clínicos del Titular de los sistemas productivos.

12.3. Eliminación de las copias de seguridad. Las copias de seguridad que contengan Datos personales del Titular se eliminarán en un plazo de 30 días adicionales respecto a la fecha de eliminación de los sistemas productivos, según el ciclo natural de rotación de la retención de las copias de seguridad (30 días).

12.4. Excepciones. Quedan excluidas de la obligación de eliminación las copias conservadas por obligación legal. Dichas copias permanecerán protegidas por las medidas de seguridad del art. 9 y no serán objeto de ninguna otra actividad de tratamiento más allá del cumplimiento de la obligación legal.

12.5. Certificación. Una vez completadas las operaciones de eliminación, el Responsable proporcionará al Titular, a petición de este, certificación escrita de las actividades realizadas.

Art. 13 · Responsabilidad

13.1. Cada Parte responderá de los daños causados a terceros dentro de los límites previstos en el art. 82 GDPR y según su propia esfera de responsabilidad. El Titular responderá de la licitud del tratamiento y de la corrección de las instrucciones impartidas al Responsable; el Responsable responderá del cumplimiento de las obligaciones específicamente a su cargo según el presente DPA, el art. 28 GDPR y el art. 32 GDPR.

13.2. En las relaciones internas entre las Partes, las posibles reclamaciones por daños causados a Interesados o sanciones impuestas por la Autoridad de control se regirán según el principio de responsabilidad proporcional, en función del aporte causal de cada Parte a la determinación del evento dañoso.

13.3. La responsabilidad global del Responsable frente al Titular por incumplimientos de las obligaciones del presente DPA se regirá, en lo no dispuesto por la normativa imperativa, por las previsiones de limitación de responsabilidad contenidas en el Contrato de Servicio.

13.4. Las disposiciones del presente artículo no limitan en modo alguno los derechos de los Interesados conforme al GDPR.

Art. 14 · Ley aplicable y fuero competente

14.1. El presente DPA se regirá por la ley italiana.

14.2. Para cualquier controversia entre las Partes relativa a la interpretación, ejecución o resolución del presente DPA será competente el fuero indicado en el Contrato de Servicio.

Art. 15 · Anexos

Forman parte integrante del presente DPA los siguientes Anexos, siempre actualizados a la versión más reciente publicada por el Responsable:

• Anexo A · Descripción técnica del tratamiento y de las medidas de seguridad: ficha técnica detallada publicada en la dirección https://fibonaccimedica.it/sicurezza.
• Anexo B · Ficha de los Subresponsables: lista siempre actualizada de los Subresponsables autorizados, publicada en la dirección https://fibonaccimedica.it/sub-responsabili.
• Anexo C · Contactos operativos: contacto para la protección de datos del Responsable: info@fibonaccimedica.it.
• Anexo D · Los datos propios de la medicina estética: reproducido a continuación.

Anexo D · Los datos propios de la medicina estética

Art. 16 · Suscripción

El presente Acuerdo para el Tratamiento de Datos se suscribe por las Partes como sigue. La suscripción podrá realizarse mediante firma autógrafa en soporte papel o mediante firma electrónica avanzada o firma electrónica cualificada, con plena eficacia jurídica equivalente.

Por el Titular del tratamiento

Por el Responsable del tratamiento

Art. 17 · Última revisión

Última revisión del presente documento: 9 novembre 2026.